LA CERTIFICATION ELECTRONIQUE APPLIQUEE AU SYSTÈME DE PAIEMENT ALGERIEN

Transcription

1 LA CERTIFICATION ELECTRONIQUE APPLIQUEE AU SYSTÈME DE PAIEMENT ALGERIEN

2 PLAN 1. Introduction 2. Cadre juridique algérien de la certification électronique 3. La certification électronique appliquée au Réseau Monétique Interbancaire géré par SATIM. 4. La certification électronique au niveau du système de pré-compensation des paiements de masse l A.T.C.I du CPI. 2

3 INTRODUCTION Face à la dématérialisation croissante des échanges interbancaires, la reconnaissance légale de la signature électronique et le développement des portails e-banking, les banques et leurs partenaires doivent désormais faire de leur espace de travail électronique un espace de confiance L'enjeu n'est plus seulement de "sécuriser" le réseau bancaire ; il s'agit aussi désormais de «signer», «d'habiliter», de «certifier»... 3

4 INTRODUCTION Les 5 piliers pour établir une relation de confiance L authentification : être sûr de l identité de la partie avec laquelle vous communiquez La confidentialité : chiffrer les données que vous transmettez et s assurer que seule la personne autorisée y a accès L autorisation : être sûr que votre interlocuteur est habilité et réciproquement L intégrité : être assuré que les données transmises ne sont pas altérées La non répudiation : avoir la preuve que votre interlocuteur a bien reçu votre message et réciproquement Seule une infrastructure de confiance, appelée communément Infrastructure à Clés Publiques (ICP) ou PKI (Public Key Infrastructure) répond à l ensemble de ces besoins en même temps. 4

5 INTRODUCTION L Algérie a fait le choix de la dématérialisation des échanges interbancaires dans le cadre du paiement de masse. Cela implique donc la mise en place : D un centre de pré-compensation électronique (CPI) D un système de paiement électronique par carte (CIB). Dans ces applications, l usage de la certification électronique est indispensable pour assurer la sécurité des échanges électroniques. 5

6 CADRE JURIDIQUE ALGERIEN 6

7 CADRE JURIDIQUE ALGERIEN 3. LA PROTECTION PENALE DES ECHANGES ELECTRONIQUES Les infractions portant sur les systèmes de traitement automatisé des données La prévention et la lutte contre les infractions liées aux technologies de l information et de la communication 7

8 LA CERTIFICATION ELECRONIQUE APPLIQUEE A LA MONETIQUE Schéma d une transaction par carte EMV SATIM EMETTEUR CPI ACQUEREUR 8

9 LA CERTIFICATION ELECRONIQUE APPLIQUEE A LA MONETIQUE OBJECTIF: Sécuriser les transactions financières entre membres d un même système de paiement. BESOIN DE L ACQUEREUR Authentifier la carte en tant que carte émise par un membre du système de paiement, S assurer de l intégrité des données de la carte BESOIN DE L EMETTEUR Authentifier la carte Authentifier les échanges entre la carte et le terminal 9

10 LA CERTIFICATION ELECRONIQUE APPLIQUEE A LA MONETIQUE EMV a défini trois méthodes s appuyant sur l algorithme à clés publiques RSA : Static Data Authentication (SDA) Dynamic Data Authentication (DDA) Combined Data Authentication (CDA) Le Réseau Monétique Interbancaire Algérien utilise la méthode SDA définie par EMV qui consiste, pour le terminal, à vérifier une donnée signée mise dans la carte durant sa personnalisation. 10

11 Etape 1 : Certification de la clé publique de l émetteur Emetteur Si, Pi générées par Satim pour les émetteurs (1) SATIM Opérateur Interbancaire Acquéreur Clé Privée Si (Emetteur) Clé Publique Pi (Emetteur) Clé Privée Ss (Satim) Clé Publique Ps (Satim) Pi Certifiée avec Ss (2) Satim certifie Pi Et génère un certificat de Pi avec Ss Terminal Carte La clé publique de l émetteur Pi est certifiée par Satim qui agit en tiers de confiance (Autorité de certification) 11

12 Etape 2 : Distribution des clés & Personnalisation Emetteur SATIM Opérateur Interbancaire Acquéreur Clé Privée Si (Emetteur) Clé Publique Pi (Emetteur) Clé Privée Ss (Satim) Clé Publique Ps (Satim) Utilisée pour la création de la signature digitale de la carte (SDA) Pi Certifiée avec Ss La clé Publique de Satim est chargée dans tous les TPE (1 ) (2) Satim (émetteur) charge dans la carte : SDA, Pi certifiée, données Terminal Carte Satim (émetteur) génère la SDA basée sur le PAN & autres données (1) La signature est unique par carte (SDA) Pi est unique par émetteur Ps est la même pour tous les TPE 12

13 Etape 3 : L authentification et L intégrité Récupération de la clé publique de l émetteur Carte Clé Publique émetteur certifiée (1) Pi Signée avec la clé Ss Le TPE vérifie l authenticité de l émetteur Le TPE vérifie que les données sensibles sont intègres Terminal Vérification de la signature de données sensibles (SDA) Carte (1) Données sensibles (2) Signature des données sensibles SDA (condensé des données sensibles signé avec la clé privée de l émetteur ) (2) Avec la clé publique de Satim Ps, le TPE vérifie la valeur de la clé publique de l émetteur Pi (3) Avec la clé publique de l émetteur, le condensé des données sensibles est retrouvé (4) Le TPE recalcule le condensé (5) Le TPE compare le condensé recalculé avec celui retrouvé au point (3) 13

14 LA CERTIFICATION ELECRONIQUE APPLIQUEE A LA MONETIQUE Longueur des clés privées et publiques : 1152 bits La valeur de l exposant : 03 La validité des clés : 2015 Gestion des clés de l Autorité de certification Mise en service d une nouvelle clé de l Autorité de Certification (définie par EMV) Avant 31 Octobre Y0 - notification des Membres Avant 31 Décembre Y0 Envoi de la clé aux Membres Avant 30 Juin (Y0+1) Clé chargée dans l ensemble des terminaux 1 er Janvier (Y0+2) La nouvelle clé peut commencer à être utilisée Révocation d une clé 06 mois de délai après expiration de la clé 14

15 LA CERTIFICATION ELECRONIQUE au niveau de Système A.T.C.I Les échanges interbancaires s effectuent à travers : le moniteur de transfert de fichier CFT, le certificat X509 émis par l autorité de certification. La sécurisation des échanges à l'intérieur de l'architecture d émission/de réception est réalisée par : l'utilisation du protocole PeSIT hors SIT, la mise en œuvre de l'option SSL de XFB basée sur l'utilisation de certificats X509 15

16 LA CERTIFICATION ELECRONIQUE au niveau de Système A.T.C.I Le CPI agit comme autorité de certification de confiance, principale et intermédiaire. 16

17 LA CERTIFICATION ELECRONIQUE au niveau de Système A.T.C.I L environnement de fabrication des certificats est composé de trois (3) parties : Le premier environnement est celui destiné à la création des certificats racine et de certification; Le deuxième est celui destiné à la création des certificats du site central ; le troisième est celui destiné à la création des certificats des plates-formes d accès bancaires. 17

18 Société d Automatisation des Transactions Interbancaires et de Monétique 46, Rue des Frères Bouadou, Bir Mourad Rais, Alger, Tel , Fax